Incidenthantering: när e-postmiljön är komprometterad
En postlåda skickar plötsligt phishing, kunder får förfalskade betalningsuppmaningar, det ligger en okänd fil på Exchange-servern, eller tillverkaren av e-postgatewayen rapporterar en utnyttjad sårbarhet. I sådana situationer stöder jag begränsning, analys och sanering, med fokus på e-post- och identitetsnivån.
Rådgivningen sker på tyska eller engelska.
- Incidenthantering
- Business Email Compromise
- Microsoft 365
- Exchange Server
- E-postgateways
- Anmälningsskyldigheter
Typiska fall
- Komprometterad postlåda (BEC)Okända inloggningar, dolda inkorgsregler, extern vidarebefordran, stulna sessionstoken och betalningsbedrägerier via äkta konton.
- Angripen Exchange-serverUtnyttjade sårbarheter i lokal Exchange: Webshells, manipulerad konfiguration, nya konton eller behörigheter, utflöde av postlådeinnehåll.
- Sårbarhet i e-postgatewayenZero-days i gateways som FortiMail eller Kiteworks: genomföra workaround, kontrollera om intrång skett, planera återstart.
- Missbruk av den egna domänenFörfalskad e-post i ditt företags namn, förlorat anseende och blocklistor: klarlägga ursprunget, täppa till luckorna i autentiseringen, begära avlistning.
Tillvägagångssätt vid en incident
- BegränsaÅterkalla sessioner och token, återställa lösenord och MFA, ta bort skadliga regler och vidarebefordringar, isolera berörda system utan att förstöra spår.
- Säkra spårSäkra Unified Audit Log, inloggningsloggar, Message Trace, server- och gatewayloggar innan lagringstiderna raderar dem.
- AnalyseraRekonstruera ingångspunkt, tidsperiod, berörda konton samt lästa, skickade eller utflödade meddelanden.
- Sanera och härdaÅtgärda orsaken, rensa konfigurationen, komplettera övervakningen; slutrapport för ledning, försäkringsbolag och myndigheter.
Anmälningsskyldigheter i Schweiz
Om en incident rör personuppgifter och sannolikt medför en hög risk för de registrerade kräver den schweiziska dataskyddslagen en anmälan till den federala dataskydds- och informationsombudsmannen (EDÖB) så snart som möjligt (art. 24 DSG). Sedan den 1 april 2025 måste operatörer av kritisk infrastruktur rapportera cyberangrepp till det schweiziska federala kontoret för cybersäkerhet (BACS) inom 24 timmar. Jag tar fram det tekniska underlaget för dessa anmälningar; den rättsliga bedömningen ligger hos dig eller din juridiska rådgivare.
Exempel från praktiken
- FortiMail zero-day CVE-2026-104286: workaround och kontroll av eventuellt intrång.
- Kiteworks: tillverkaren rekommenderar avstängning: vad som ska göras vid en utnyttjad sårbarhet i en gateway.
- CVE-2026-62911: NTLM-relä i Exchange: angreppsväg och motåtgärder för lokal Exchange.
- Analysera meddelandespårning i Exchange: verktygen för att i efterhand rekonstruera e-postflödet.
- CVE-spårare: dagsaktuella sårbarheter i e-post- och meddelandeprodukter.
